研究重新审视关于 DNSSEC 的常见看法

“Against DNSSEC”为说明这一点提出的论据是：安全决策最好根据每个应用的需求来做出，而DNSSEC并不是应用层协议。虽然这一反对意见对许多事情来说似乎都成立（以验证码为例：有些应用可能不在意机器人，有些则可能很在意），但域名所有者宣称他们希望自己域名的DNS信息附带可验证的签名，以便在验证失败时阻止客户端连接——这看来确实是合理的。诚然，这并不总能端到端地做到（尽管这不是设计上的局限，参见上文提到的“最后一英里”问题）——但那种认为网络层安全机制在架构上天然不健全的反对意见则有些过火了。同样的论点也可以用来反对Wi-Fi加密、BGP路由验证或IP数据包校验和（这些都是网络层面的），但这些安全机制是被普遍接受的。

关于DNSSEC最难消除的假设之一是其成本高昂——这很可能让负责预算的非技术人员望而却步，不愿参与部署。根据“Against DNSSEC”的说法，该协议的采用和部署都是资源密集型的。原文写道：“DNSSEC采用成本高昂”，“DNSSEC部署成本高昂”。

DNSSEC的采用和部署成本高吗？——既高也不高。

对于终端用户来说，DNSSEC的采用基本上是免费的，还能额外获得针对攻击相关损失的保护（参见上文MyEtherWallet.com的案例）。在实践中，所有成本都由解析器运营商和签名DNS运营商承担。测量表明，解析器侧的内存和计算成本在实践中很小。在签名侧，成本取决于签名运营商需要建立多少特定的专业知识，以及运营多少个域名。与HTTPS连接中涉及的签名相比，DNSSEC签名的计算频率要低得多，因此相对于运营在线服务的总体成本，签名本身的成本并不显著。

总体而言，对于运营良好的中型到大型运营机构来说，持续运营期间的DNSSEC签名和验证并不会从根本上改变财务等式。

适配软件当然是有成本的，但这项任务在很大程度上已经完成，如今的名称服务器软件默认就包含成熟的DNSSEC实现。此外，虽然为了采用更现代（自动化）的解决方案而更换旧组件可能很复杂，但新部署和长期运营的成本已显著降低，许多DNS提供商（如Cloudflare、Squarespace、one.com、deSEC）和解析器运营商（如Cloudflare、Google、Quad9、DNS4EU）现在都常规性地以完全自动化的方式运行DNSSEC。在注册机构侧DNSSEC配置更新的自动化方面还有一些工作要做，但那里也在取得进展。

“Against DNSSEC”还认为，网络软件不具备平滑处理DNSSEC故障的能力（例如区分过期签名和实际攻击），并且“让DNSSEC变得可行”将涉及大量昂贵的代码重写。这种担忧正在减弱，因为浏览器最近努力基于RFC 89149实现更详细的DNS错误反馈，以提高连接错误来源的可见性。这类发展确实带来了一些成本，但与建议相反的是，这种成本并不妨碍大规模部署，新西兰、沙特阿拉伯、巴基斯坦和加纳等国家超过90%的验证部署率就证明了这一点。

然而，从“Against DNSSEC”中涌现出的这些常见看法，无论多么广泛和有影响力，与一个影响更大的主张相比都相形见绌：DNSSEC据称对可用性构成威胁——如上所述，这一主张由IANIX列表揭露并广为传播。但是，撇开历史记录不谈，今天这种情况有多真实？或者换句话说，DNSSEC在实践中是否具有高可用性？

是的，确实如此。上述John Kristoff等人的研究（预计本月晚些时候发表，届时将在此处链接）开发了一种基于测量的方法和影响加权评估，以量化DNSSEC引起的中断。其结果显示，在所测量的16年中有15年，全球DNSSEC部署的可用性超过99.99%，并且还证实了过去五年中事件急剧下降。因此，偶尔发生的破坏性事件（仍然会发生，但已成为例外）不应掩盖DNSSEC整体部署的实际记录。

与任何需要不同实现和运营环境之间互操作的互联网规模技术一样，早期的DNSSEC采用者很可能因配置错误或有缺陷的代码而遭受痛苦的中断。从那时起，得益于工程改进和社区制定的运营标准，DNSSEC部署已在各TLD上实现了明显的高可用性。所有gTLD以及越来越多的ccTLD都对其区域进行签名，许多TLD已成功过渡到新的运营商和/或算法，同时保持完全签名。即使验证中断（并确认没有攻击），临时NTA（负信任锚）也可以恢复基本可用性——正如Cloudflare和其他解析器运营商在2026年5月.de事件期间所做的那样。

DNSSEC现在被认为足够重要和稳定，已成为现有和未来gTLD不可协商的要求。这种政策层面的观点与真实世界的正常运行时间记录相符：由Verisign运营的世界上最大的两个TLD——.com和.net——早已启用DNSSEC，拥有超过29年不间断的DNS解析正常运行时间。由Identity Digital（前身为Afilias）管理的世界上最大的TLD组合也保持着完美的正常运行时间记录，该组合早在2009年就已签名。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）